PHP当前高危漏洞是CVE-2026-109618/109619内核级RCE，影响所有启用PHP-FPM或mod_php的服务（含SOAP），修复版本为8.2.35/8.3.36/8.4.27/8.5.12；CVE-2026-91765无权威记录。
目前没有权威来源（CNVD、CVE官方库、PHP官网公告或2026年10–11月主流安全平台）记录编号为 CVE-2026-91765 的 PHP SOAP 扩展漏洞，更不存在“无限递归”相关的已知高危漏洞。
PHP 8.x SOAP 扩展当前已知风险聚焦在 CVE-2026-109618/109619
截至2026年11月初，PHP 社区唯一被广泛确认、紧急修复且影响 SOAP 使用场景的漏洞，是本月发布的两个预认证远程代码执行漏洞：
- CVE-2026-109618：触发于内存耗尽（OOM）后的 longjmp 异常退出，导致未初始化请求内存被后续清理逻辑误用；
- CVE-2026-109619：源于 worker 进程中跨请求的全局状态未重置，造成释放后重用（UAF）。
这两个漏洞不局限于某一个扩展，而是内核级内存管理缺陷，所有启用 PHP-FPM 或 mod_php 的服务均受影响，包括调用 soapclient、处理 WSDL 解析、XML 请求体的 SOAP 应用。攻击者无需登录，仅需构造恶意 HTTP 请求即可触发。
确认你是否真受该漏洞影响
请先验证实际运行环境中的 PHP 版本和部署模式：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
- 在 Web 服务环境下执行：
php-fpm -v或php-fpm8.4 -v（根据实际二进制名）； - 在 CLI 下执行：
php -v（注意：CLI 和 Web 可能版本不同）； - 检查是否在使用 SOAP：搜索项目中是否存在
new SoapClient(、SoapServer或extension=soap启用记录。
若版本低于以下任一修复版，则必须升级：
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
临时缓解措施（无法立即升级时）
针对 CVE-2026-109618/109619，可降低 SOAP 接口被利用的风险：
- 关闭会话上传进度功能：
session.upload_progress.enabled = Off（所有 PHP 8.x 版本均支持）； - 限制请求体大小：在 Nginx 中设
client_max_body_size 2m;，Apache 中设LimitRequestBody 2097152； - 禁用 multipart/form-data 类型的非必要请求：WAF 层拦截含
boundary=但无明确上传意图的请求； - 重启全部 PHP-FPM worker 或 Apache/mod_php 进程，确保配置生效。
关于 CVE-2026-91765 的说明
该编号未出现在 NVD、CNVD、MITRE 或 PHP 官方安全通告中。可能是误记、混淆（如将其他语言/CVE 编号套用到 PHP）、或尚未公开披露的内部编号。建议：
- 核查漏洞报告来源是否可信；
- 比对 PHP 官网安全公告页：https://www.php.cn/link/a232176a129c157a9e406cabbd1d9bc6；
- 如确有异常行为（如 SOAP 调用导致进程崩溃、CPU 持续 100%），优先排查 WSDL 文件是否含恶意递归引用、XML 实体爆炸（XXE）或服务端配置不当。
